Google Chrome: Use-after-free in Media ermöglicht Code-Ausführung in der Sandbox
Zusammenfassung
Ein Use-after-free-Fehler in der Komponente Media von Google Chrome vor 156.0.8078.47 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein Angreifer, der einen Benutzer auf eine solche Seite lockt, kann beliebigen Code innerhalb der Browser-Sandbox ausführen. NVD bewertet die Lücke mit 8.8 (High), während Google die Chromium-Schweregrad-Bewertung mit Low angibt und die Beschreibung die Auswirkung auf die Sandbox beschränkt. Zum Zeitpunkt der Recherche wurde weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden.
Betroffen
- Google Chrome (Desktop: Windows, macOS, Linux) vor 156.0.8078.47 gemäss NVD
- Chromium-basierte Produkte, die diesen Fix enthalten, wie Microsoft Edge und Chromium-Pakete von Linux-Distributionen, sind ebenfalls betroffen, bis sie aktualisiert sind (Versionen nicht verifiziert)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux, gemäss Wikipedia; Windows und macOS Build 156.0.8078.48 gemäss Wikipedia, nicht gegen Googles Advisory verifiziert)
- Neuere stabile Builds sind verfügbar; den aktuellen Chrome-156-Stable-Build oder neuer einsetzen
- Debian und Ubuntu: Fixierte Paketversionen unbekannt; die Sicherheitstracker der Distributionen prüfen
- Microsoft Edge: Ein HKCERT-Bulletin nennt 156.0.4314.42, nicht gegen MSRC bestätigt
Umgehung
- Keine bekannte Herstellerumgehung. Das Einspielen des Updates ist die Massnahme.
Ausnutzung
- In freier Wildbahn: Keine Hinweise gefunden; der Status im CISA-KEV-Katalog wurde nicht direkt verifiziert.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- VulDB-Schätzung des Marktpreises USD 5k bis 25k (kein Nachweis einer Ausnutzung).
Unsere Empfehlung
- Alle Chrome-, Chromium- und Edge-Installationen auf Chrome 156 Stable oder neuer aktualisieren, durchgesetzt über Richtlinien (zum Beispiel MDM oder Chrome Browser Cloud Management).
- Die Browserversion auf jedem Endgerät nach dem Update prüfen.
- Chromium-Pakete auf Linux-Systemen über die Distribution aktualisieren (Ubuntu: snap refresh).
- Als hohe Priorität behandeln, da die Lücke über normales Surfen remote auslösbar ist und Chrome weit verbreitet ist.
- Das Chromium-Issue-Tracking und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB entry 424645 vuldb.com
- Ubuntu security tracker CVE-2026-113314 ubuntu.com
- Vulners CVELIST:CVE-2026-113314 vulners.com
- HKCERT security bulletin Microsoft Edge www.hkcert.org
- Google Chrome (Wikipedia) en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.